Ordinateur quantique : l'étude de Google qui estime à 9 minutes le cassage d'une clé Bitcoin

Une estimation divisée par vingt

Le 30 mars 2026, des chercheurs de Google Quantum AI ont déposé sur arXiv un livre blanc intitulé « Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities ». Parmi ses neuf auteurs figurent Craig Gidney et Hartmut Neven pour Google, Dan Boneh pour l'université Stanford et Justin Drake pour la Fondation Ethereum.

Le document porte sur le problème du logarithme discret sur courbe elliptique de 256 bits, qui protège les signatures de Bitcoin et d'Ethereum. Les auteurs estiment que l'algorithme de Shor peut le résoudre avec moins de 1 200 qubits logiques et 90 millions de portes Toffoli, ou moins de 1 450 qubits logiques et 70 millions de portes. Sur une architecture supraconductrice avec un taux d'erreur physique de 0,1 %, cela représente moins de 500 000 qubits physiques.

Selon le texte intégral, c'est une réduction de près de vingt fois par rapport aux estimations précédentes, qui tablaient sur environ 9 millions de qubits physiques. Pour ne pas publier de mode d'emploi, l'équipe a validé ses circuits par une preuve à divulgation nulle de connaissance, sans les révéler.

Neuf minutes et 41 % de chances

Le calcul prendrait 18 à 23 minutes sur une telle machine. Avec une phase de précalcul, il tomberait à environ 9 ou 12 minutes une fois la clé publique connue. Or un bloc Bitcoin est produit en moyenne toutes les 10 minutes.

Les auteurs en déduisent la possibilité d'attaques dites « on-spend » : intercepter une transaction dans la mempool, retrouver la clé privée à partir de la clé publique qu'elle révèle, puis diffuser une transaction concurrente avant la confirmation. Sous des hypothèses idéalisées, la probabilité de succès serait « légèrement inférieure à 41 % ».

L'étude distingue deux familles de machines. Les architectures à horloge rapide, supraconductrices ou photoniques, rendraient ces attaques envisageables. Les architectures à horloge lente, à atomes neutres ou à ions piégés, fonctionnent deux à trois ordres de grandeur plus lentement et ne permettraient pas de battre la fenêtre de confirmation.

6,9 millions de BTC exposés

Le livre blanc évalue à environ 6,9 millions le nombre de bitcoins vulnérables au moment de sa rédaction. Ce total regroupe les sorties dont la clé publique est déjà visible sur la blockchain : anciennes adresses P2PK, sorties multisignatures P2MS, sorties Taproot (P2TR) et adresses réutilisées.

Les adresses P2PK, utilisées aux débuts du réseau, sécurisent à elles seules un peu plus de 1,7 million de bitcoins, soit près de 9 % de l'offre. Ces fonds sont exposés à des attaques « at-rest » : l'attaquant dispose d'un temps illimité pour travailler hors ligne.

Les auteurs qualifient Taproot, activé en 2021, de régression sur ce point. Une sortie P2TR publie directement sur la chaîne une clé publique modifiée, là où les adresses classiques n'en publient qu'un hachage jusqu'à la première dépense. Le document recommande d'éliminer la réutilisation des clés publiques et de limiter leur exposition.

Une menace qui reste théorique

Aucune machine de cette taille n'existait au moment de la publication. À titre de comparaison, IBM a annoncé en juin 2025 vouloir livrer d'ici 2029 son ordinateur tolérant aux fautes Starling, doté de 200 qubits logiques et capable de 100 millions d'opérations. L'attaque décrite par Google en demande six à sept fois plus.

L'apport de l'étude tient donc au calendrier : en abaissant le seuil matériel, elle rapproche la date à laquelle une telle machine pourrait exister. Les auteurs appellent toutes les communautés concernées à migrer vers la cryptographie post-quantique « sans délai ».

Bitcoin et Ethereum, deux trajectoires

Côté Bitcoin, la proposition BIP-360, créée en décembre 2024, décrit un nouveau type de sortie, Pay-to-Merkle-Root (P2MR). Il reprend la logique de Taproot sans le chemin de dépense par clé, vulnérable au quantique. Son statut reste celui de brouillon. Le texte précise qu'il protège contre les expositions longues, pas contre une attaque pendant la confirmation. Une migration complète exigerait une évolution du consensus.

Côté Ethereum, la feuille de route officielle recense quatre chantiers : les signatures des validateurs (BLS), les engagements KZG de disponibilité des données, les signatures des comptes (ECDSA) et les preuves à divulgation nulle des couches 2. Elle prévoit des signatures de validateurs fondées sur le hachage et l'abstraction de compte native (EIP-8141), qui permettrait à chaque compte de choisir un schéma de signature résistant au quantique. Les principaux jalons visent environ 2029.

Ce qui s'est passé depuis

Le 15 avril 2026, les auteurs ont mis en ligne une deuxième version du livre blanc. Selon la note d'arXiv, elle corrige un bogue logiciel qui permettait une attaque contre la solidité de la preuve à divulgation nulle utilisée pour valider les résultats. À la mi-2026, ethereum.org indiquait que des réseaux de test post-quantiques d'interopérabilité tournaient chaque semaine.